Los números son difíciles de ignorar. Nueve de cada diez organizaciones dicen tener una política de inteligencia artificial, pero el 70% de los líderes de TI ya sorprendió a su personal usando IA no autorizada en el trabajo. El uso de IA en dispositivos corporativos se triplicó en los últimos 12 meses, según telemetría citada en uno de los estudios anuales de brechas más amplios del sector.
Casi la mitad de los empleados utiliza IA en dispositivos emitidos por la empresa sin aprobación previa. Un sondeo de grandes organizaciones en el Reino Unido y Estados Unidos encontró que el 49% de los empleados recurría a herramientas no autorizadas. Un estudio académico de 48.000 empleados en 47 países arrojó una cifra casi idéntica: 48%.
El dato más revelador apunta hacia arriba en el organigrama. El 69% de los ejecutivos de nivel C declaró que sacrificaría seguridad por velocidad, frente al 37% del personal administrativo. Son, con frecuencia, quienes redactan la política y quienes primero la eluden.
Prohibir las herramientas no aprobadas es la respuesta más común, y suele fracasar. Siete de cada diez personas continuaron usando IA después de que su empleador bloqueara una herramienta, simplemente migrando a otra fuera del radar. La prohibición no elimina el riesgo; lo vuelve invisible.
La alternativa documentada funciona mejor: ofrecer una vía aprobada que sea genuinamente superior a las herramientas clandestinas. En un caso de implementación en el sector salud citado en la fuente, unos pocos instrumentos sancionados que cumplían la función redujeron el uso no autorizado de otras IA en un 89%.
Las empresas medianas no necesitan contratar un director de gobernanza de IA a tiempo completo —un gasto que pocas pueden justificar— porque los controles necesarios ya existen en marcos como ISO 27001 e ISO 42001, el primer estándar internacional específico para gestión de IA, publicado en 2023. En Estados Unidos, el NIST ofrece un marco equivalente. Una organización ya certificada en ISO 27001 tiene recorrido más de la mitad del camino.
El entorno regulatorio también se mueve. La Comisión Federal de Comercio de Estados Unidos ha señalado la brecha entre lo que las empresas dicen que hace su IA y lo que realmente hace. En Australia, una obligación de inventario de IA entra en vigor en diciembre a través de la ley de privacidad.
Desde Ágora Capital, la lectura es directa: el riesgo de gobernanza de IA no es un problema de cumplimiento burocrático, es un problema de productividad y de exposición patrimonial. Una brecha originada en una herramienta gratuita que un directivo usó para pegar contratos no es un accidente de tecnología; es el costo de no haber construido una infraestructura de incentivos correcta. El mercado ya está valorando ese riesgo: las aseguradoras de ciberseguridad y los auditores lo preguntan. Las empresas que puedan demostrar que saben qué IA toca sus datos —y pueden probarlo— tendrán una ventaja competitiva real frente a las que solo tienen un documento en un cajón.
